Atak na Facebooka z autentycznego e-maila. Jak działa i jak się bronić?

Administratorzy fanpage’ów na Facebooku muszą mierzyć się z nowym, wyjątkowo podstępnym atakiem phishingowym. Jak opisuje serwis Niebezpiecznik, przestępcy wykorzystują autentyczne wiadomości wysyłane przez Metę, by wyłudzić dane logowania. Ofiara otrzymuje e-mail z prawdziwego adresu Facebooka, który nie trafia do spamu – a kliknięcie w link prowadzi do fałszywej strony przechwytującej login i hasło.

Jak działa atak?

Mechanizm ataku opiera się na funkcji Facebooka, która pozwala użytkownikom wysyłać prośby o dostęp do Business Portfolio. Gdy ktoś złoży taki wniosek, Meta wysyła do administratora strony wiadomość z informacją o blokadzie w ciągu 24 godzin. Atakujący mogą wpleść w nią własny tekst – na przykład nazwę swojego konta lub link do zewnętrznej strony. Odbiorca widzi więc autentyczny e-mail od Facebooka, ale z podstawioną treścią, która zachęca do kliknięcia w przycisk.

Jak zauważa Niebezpiecznik, Meta nie oznacza wyraźnie, które fragmenty wiadomości pochodzą od wnioskującego. Powoduje to, że nawet doświadczeni administratorzy mogą dać się nabrać.

Co się dzieje po kliknięciu?

Link z e-maila prowadzi na stronę łudząco przypominającą serwisy Mety. Ofiara widzi formularz, w którym ma podać dane osobowe, login i hasło. Jeśli je uzupełni, traci kontrolę nad swoim kontem. Atakujący mogą następnie przejąć fanpage, publikować szkodliwe treści lub wyłudzać pieniądze od obserwujących.

Domena używana w kampanii – information-center-online.help – została zarejestrowana 17 kwietnia 2026 roku i jest chroniona przez Cloudflare. To typowa taktyka mająca utrudnić blokowanie złośliwych stron.

Jak się bronić?

Przede wszystkim warto zachować czujność, nawet gdy e-mail pochodzi z oficjalnego adresu Facebooka. Kluczowe zasady obrony:

• Sprawdź adres URL przed kliknięciem. Legalne strony Mety działają wyłącznie w domenie facebook.com lub meta.com. Wszelkie odstępstwa – jak information-center-online.help – powinny wzbudzić podejrzenia.
• Nie loguj się przez linki z e-maili. Zamiast tego otwórz przeglądarkę i wejdź na Facebooka ręcznie.
• Włącz uwierzytelnianie dwuskładnikowe (MFA). Nawet jeśli ktoś przechwyci hasło, bez drugiego składnika nie uzyska dostępu.
• Edukuj zespół. Ostrzeż kolegów i koleżanki z działu social media o tej kampanii. Warto przesłać im link do artykułu Niebezpiecznika.

Co dalej?

Ataki wykorzystujące autentyczne wiadomości od platform społecznościowych będą prawdopodobnie coraz częstsze. Meta może w przyszłości zmodyfikować sposób wyświetlania treści pochodzących od wnioskujących, ale na razie użytkownicy muszą zachować czujność. Jeśli prowadzisz firmowy fanpage, regularnie sprawdzaj uprawnienia osób mających dostęp do konta i nie ufaj wiadomościom z prośbą o pilne działanie.